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El Comité Europeo de Protección de Datos 


Visto el artículo 70, apartado 1, letra e), del Reglamento (UE) 2016/679, del Parlamento Europeo y del 
Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al 
tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la 
Directiva 95/46/CE, 


HA ADOPTADO LAS SIGUIENTES DIRECTRICES 


1 PARTE 1: INTRODUCCIÓN 


1.1 Información general 


Con arreglo a lo dispuesto en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión 
Europea, los datos personales deben tratarse de manera leal, para fines concretos y en virtud de un 
fundamento legítimo previsto por la ley. En este sentido, el artículo 6, apartado 1, del Reglamento 
general de protección de datos! (RGPD) especifica que el tratamiento solo será lícito si se cumple 
alguna de las seis condiciones especificadas en las letras a) a f) del apartado 1 del artículo 6. Identificar 
el fundamento jurídico adecuado que corresponde al objeto y la naturaleza del tratamiento reviste 
una importancia crucial. Al identificar el fundamento jurídico adecuado que permita respetar el 
principio de lealtad, los responsables del tratamiento deben tener en cuenta, entre otras cosas, el 
efecto sobre los derechos de los interesados. 


El artículo 6, apartado 1, letra b), del RGPD prevé un fundamento jurídico para el tratamiento de datos 
personales en la medida en que «el tratamiento es necesario para la ejecución de un contrato en el 
que el interesado es parte o para la aplicación a petición de este de medidas precontractuales».? De 
esta forma, se garantiza la libertad de empresa, consagrada en el artículo 16 de la Carta, y queda 
reflejado el hecho de que, en ocasiones, no es posible cumplir las obligaciones contractuales contraídas 
con el interesado a menos que este proporcione determinados datos personales. Si el tratamiento 
específico es parte integrante de la prestación del servicio solicitado, el tratamiento de dichos datos 
va en interés de ambas partes, ya que, de lo contrario, no sería posible prestar el servicio ni ejecutar 
el contrato. Sin embargo, la posibilidad de justificar el tratamiento mediante este o cualquiera de las 
demás fundamentos jurídicos citados en el artículo 6, apartado 1, no exonera al responsable del 
tratamiento de la obligación de cumplir el resto de los requisitos previstos en el RGPD. 


Los artículos 56 y 57 del Tratado de Funcionamiento de la Unión Europea definen y regulan la libre 
prestación de servicios en el seno de la Unión Europea. Además, en la UE se han adoptado medidas 
legislativas concretas en relación con los «servicios de la sociedad de la información».? Estos servicios 
se definen como «todo servicio prestado normalmente a cambio de una remuneración, a distancia, 
por vía electrónica y a petición individual de un destinatario de servicios». Esta definición se extiende 





1 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas 
físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la 
Directiva 95/46/CE (Reglamento general de protección de datos). 

2 Véase asimismo el considerando 44. 

3 Véanse, por ejemplo, la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo y el artículo 8 del RGPD. 


a los servicios no abonados directamente por sus destinatarios*, como los servicios en línea financiados 
mediante la publicidad. En estas directrices, por «servicios en línea» se entienden los «servicios de la 
sociedad de la información». 


El desarrollo del Derecho de la Unión refleja la importancia crucial que tienen los servicios en línea en 
una sociedad moderna. La proliferación de los servicios de Internet móvil con una conexión 
ininterrumpida y la amplia disponibilidad de los dispositivos conectados han permitido el desarrollo de 
servicios en línea en ámbitos tales como las redes sociales, el comercio electrónico, las búsquedas en 
Internet, las comunicaciones y los viajes. Aunque los usuarios reciben algunos de estos servicios previo 
abono de una tarifa, otros se ofrecen sin necesidad de que el consumidor realice ningún pago, ya que 
se financian mediante la venta de servicios publicitarios en línea que permiten dirigir publicidad 
específica a los interesados. El seguimiento de la conducta del usuario, con vistas a ofrecerle este tipo 
de publicidad, suele llevarse a cabo por vías de las que el usuario no suele ser consciente” y que quizá 
no resulten inmediatamente obvias teniendo en cuenta la naturaleza del servicio prestado, lo que, en 
la práctica, hace que al interesado le resulte casi imposible elegir con conocimiento de causa sobre el 
uso de sus datos. 


En este contexto, el Comité Europeo de Protección de Datos? (CEPD) considera adecuado proporcionar 
directrices sobre la aplicación del artículo 6, apartado 1, letra b), para el tratamiento de los datos 
personales en el contexto de los servicios en línea, a fin de garantizar que este fundamento jurídicos 
solo se invoque cuando resulte pertinente. 


El Grupo de Trabajo del Artículo 29 (en lo sucesivo, «GT29») se ha pronunciado con anterioridad sobre 
la base de la necesidad contractual en virtud de la Directiva 95/46/CE en su dictamen sobre el concepto 
de interés legítimo del responsable del tratamiento de los datos.” En general, estas orientaciones se 
mantienen vigentes para el artículo 6, apartado 1, letra b), y para el RGPD. 


1.2 Alcance de las directrices 


Estas directrices abordan la aplicabilidad del artículo 6, apartado 1, letra b), al tratamiento de datos 
personales en el contexto de los contratos de servicios en línea, independientemente de cómo se 
financien los servicios. Las directrices describen los elementos del tratamiento lícito en virtud del 
artículo 6, apartado 1, letra b), del RGPD y examinan el concepto de «necesidad» tal como se aplica a 
la expresión «necesario para la ejecución de un contrato». 


Las normas sobre protección de datos regulan aspectos importantes del modo en que los servicios en 
línea interactúan con los usuarios. Sin embargo, también resultan aplicables otros tipos de normas. La 
regulación de los servicios en línea implica unas responsabilidades transversales en los ámbitos 
de,entre otras cosas, el derecho en materia de protección de los consumidores y del derecho de la 
competencia. Las consideraciones en relación con estas ramas del derecho trascienden el alcance de 
las presentes directrices. 


4 Véase el considerando 18 de la Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a 
determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el 
mercado interior. 

5 En este sentido, los responsables del tratamiento deben cumplir las obligaciones de transparencia previstas en el RGPD. 

6 Creado en virtud del artículo 68 del RGPD. 

7 Grupo de Trabajo del Artículo 29: Dictamen 6/2014 sobre el concepto de interés legítimo del responsable del tratamiento de 
los datos en virtud del artículo 7 de la Directiva 95/46/CE (WP217). Véanse, en particular, las páginas 13, 20, 21, 22 y 65. 


10. 


11. 


12. 


13. 


Aunque el artículo 6, apartado 1, letra b), solo es aplicable en un contexto contractual, estas directrices 
no se pronuncian sobre la validez general de los contratos de servicios en línea, en general, ya que esta 
materia escapa de la competencia del CEPD. No obstante, los contratos y las cláusulas contractuales 
deben cumplir los requisitos del derecho contractual y, en su caso, en los contratos celebrados con 
consumidores, el derecho en materia de protección de los consumidores, a fin de que el tratamiento 
basado en dichas cláusulas sea considerado leal y lícito. 


A continuación, se analizarán algunas observaciones generales sobre los principios relativos a la 
protección de datos, pero no se desarrollan todos los aspectos relativos a esta cuestión que puedan 
plantearse en el momento del tratamiento de conformidad con el artículo 6, apartado 1, letra b). Los 
responsables del tratamiento deben asegurarse de que cumplen en todo momento los principios 
relativos a la protección de datos establecidos en el artículo 5 y todos los demás requisitos previstos 
en el RGPD y, cuando resulte aplicable, la legislación en materia de privacidad en las comunicaciones 
electrónicas. 


2 PARTE 2: ANÁLISIS DEL ARTÍCULO 6, APARTADO 1, LETRA B) 


2.1 Observaciones generales 


El fundamento jurídico para el tratamiento en virtud del artículo 6, apartado 1, letra b), debe 
interpretarse en el contexto del RGPD en su conjunto, de los objetivos establecidos en el artículo 1 y 
en paralelo con el deber de los responsables del tratamiento de tratar los datos personales de 
conformidad con los principios que en materia de protección de datos establece el artículo 5, Ello exige 
tratar los datos personales de un modo leal y transparente y en consonancia con las obligaciones de 
limitación de la finalidad y minimización de los datos. 


El artículo 5, apartado 1, letra a), del RGPD establece que los datos personales deben ser tratados de 
manera lícita, leal y transparente en relación con el interesado. El principio de lealtad incluye, entre 
otros, el reconocimiento de unas expectativas razonables? de los interesados, la consideración de las 
posibles consecuencias adversas que el tratamiento pueda tener sobre estos y la consideración de la 
relación y los posibles efectos del desequilibrio entre estos y el responsable del tratamiento. 


Como se ha mencionado anteriormente, para garantizar su licitud, los contratos de servicios en línea 
deben ser válidos en virtud del derecho contractual aplicable. Un factor relevante podría ser, por 
ejemplo, que el interesado fuera un menor. En este caso (y al margen del cumplimiento de los 
requisitos establecidos en el RGPD, incluidas las «protecciones específicas» que se aplican a los 
menores)?, el responsable del tratamiento debe asegurarse de que cumple la normativa nacional 
pertinente sobre la capacidad del menor para celebrar contratos. Además, para garantizar que se 
cumplan los principios de lealtad y licitud, el responsable del tratamiento debe respetar otras 
disposiciones legales aplicables. Por ejemplo, en el caso de los contratos celebrados con consumidores, 
puede resultar aplicable la Directiva 93/13/CEE del Consejo, de 5 de abril de 1993, sobre las cláusulas 
abusivas en los contratos celebrados con consumidores (en lo sucesivo, la «Directiva sobre cláusulas 





8 Se espera que algunos datos personales sean privados o solo se traten de determinadas maneras, y el tratamiento de los 
datos no debe provocar sorpresa en el interesado. En los considerandos 47 y 50 del RGPD, se hace referencia expresa al 
concepto de «expectativas razonables» en relación con el artículo 6, apartado 1, letra f), y con el artículo 6, apartado 4. 

2 Véase el considerando 38, referido a los menores que merecen una protección específica de sus datos personales, ya que 
pueden ser menos conscientes de los riesgos, consecuencias, garantías y derechos concernientes al tratamiento de los datos 
personales. 
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abusivas en los contratos»).* El artículo 6, apartado 1, letra b), no se limita a los contratos que se rigen 
por las leyes de algún Estado miembro del EEE.** 


El artículo 5, apartado 1, letra b), del RGPD contempla el principio de limitación de la finalidad, que 
requiere que los datos personales se recojan con fines determinados, explícitos y legítimos, y no se 
traten ulteriormente de manera incompatible con dichos fines. 


El artículo 5, apartado 1, letra c), consagra la minimización de datos como principio; esto es, que se 
trate el menor número de datos posible para alcanzar el fin para el que son tratados. Esta valoración 
complementa la valoración de la necesidad con arreglo al artículo 6, apartado 1, letras b) a f). 


Tanto el principio de limitación de la finalidad como el principio de minimización de datos son 
especialmente relevantes en los contratos de servicios en línea, que normalmente no se negocian de 
manera individualizada. Los avances tecnológicos permiten a los responsables del tratamiento recoger 
y tratar de una manera sencilla más datos personales que nunca. Como resultado, existe un elevado 
riesgo de que los responsables del tratamiento intenten incluir unas cláusulas generales de 
tratamiento en los contratos con la intención de maximizar la posible recogida y los posibles usos de 
los datos, sin especificar de manera precisa dicha finalidad ni respetar la obligación de minimización 
de los datos. Como ya ha señalado el GT29: 


La finalidad de la recogida debe identificarse de manera clara y concreta: debe estar lo 
suficientemente detallada como para determinar qué tratamientos se incluyen y cuáles no se 
incluyen en la finalidad especificada y para permitir la evaluación del cumplimiento de la 
normativa y la aplicación de las garantías relativas a la protección de datos. Por estos motivos, 
las finalidades imprecisas o generales, como, por ejemplo, «mejorar la experiencia de los 
usuarios», «fines de comercialización», «fines de seguridad informática» o «investigaciones 
futuras», normalmente no satisfacen —si no se aporta un mayor grado de detalle— el criterio 
de «especificidad». *? 


2.2 Interacción entre el artículo 6, apartado 1, letra b), y otros fundamentos jurídicos 
para el tratamiento 


Cuando el tratamiento no se considere «necesario para la ejecución de un contrato»; es decir, cuando 
el servicio solicitado pueda prestarse sin que tenga lugar ese tratamiento específico, el CEPD reconoce 
que puede resultar aplicable otro fundamento jurídico, siempre que se cumplan las condiciones 
pertinentes. En concreto, en algunas circunstancias, puede resultar más adecuado invocar el el libre 
consentimiento previsto en el artículo 6, apartado 1, letra a). En otros casos, el artículo 6, apartado 1, 
letra f), puede ofrecer un fundamento jurídico más adecuado para el tratamiento. El fundamento 





10 De conformidad con la Directiva sobre cláusulas abusivas en los contratos, las cláusulas contractuales que no se hayan 
negociado individualmente se considerarán abusivas «si, pese a las exigencias de la buena fe, causan en detrimento del 
consumidor un desequilibrio importante entre los derechos y obligaciones de las partes que se derivan del contrato». Al igual 
que la obligación de transparencia del RGPD, la Directiva sobre cláusulas abusivas en los contratos exige el uso de un lenguaje 
claro y comprensible. El tratamiento de datos personales basado en lo que, con arreglo a la Directiva sobre cláusulas abusivas 
en los contratos, se considere una cláusula abusiva no cumplirá por lo general el requisito de licitud y lealtad previsto en el 
artículo 5, apartado 1, letra a), del RGPD. 

11 El RGPD resulta aplicable a determinados responsables del tratamiento que se encuentran fuera del EEE. Véase el artículo 3 
del RGPD. 

12 Grupo de Trabajo del Artículo 29: Dictamen 03/2013 sobre limitación de la finalidad (WP203), páginas 15-16. 


18. 


19. 


20. 


21. 


22. 


jurídico debe identificarse al inicio del tratamiento y la información facilitada a los interesados con 
arreglo a los artículos 13 y 14 debe especificar el fundamento jurídico. 


Es posible que un fundamento jurídico distinto del contemplado en el artículo 6, apartado 1, letra b), 
se ajuste mejor al objetivo y el contexto de la operación de tratamiento en cuestión. La identificación 
del fundamento jurídico adecuado se encuentra vinculada a los principios de lealtad y de limitación de 
la finalidad.” 


Las Directrices del GT29 sobre consentimiento especifican también que si «un responsable pretende 
realizar el tratamiento de datos personales que sí son necesarios para la ejecución del contrato, 
entonces el consentimiento no constituirá el fundamento jurídico apropiado». A la inversa, el CEPD 
considera que, cuando el tratamiento no es necesario para la ejecución de un contrato, dicho 
tratamiento solo puede tener lugar si invoca otro fundamento jurídico adecuado.** 


En consonancia con las obligaciones de transparencia, los responsables del tratamiento deben velar 
por evitar toda confusión en relación con el fundamento jurídico aplicable. Esto es especialmente 
relevante cuando el fundamento jurídico adecuado es el artículo 6, apartado 1, letra b), y los 
interesados celebren un contrato de servicios en línea. Dependiendo de las circunstancias, los 
interesados pueden creer erróneamente que prestan su consentimiento en consonancia con lo 
dispuesto en el artículo 6, apartado 1, letra a), al firmar el contrato o aceptar las condiciones del 
servicio. Al mismo tiempo, el responsable del tratamiento puede asumir erróneamente que la firma 
del contrato equivale a un consentimiento en el sentido del artículo 6, apartado 1, letra a). Sin 
embargo, se trata de conceptos totalmente diferentes. Es importante distinguir entre aceptar las 
condiciones del servicio al celebrar un contrato y prestar el consentimiento en el sentido del artículo 6, 
apartado 1, letra a), puesto que estos conceptos se encuentran sujetos a requisitos distintos y tienen 
consecuencias jurídicas diferentes. 


En relación con el tratamiento de categorías especiales de datos personales, el GT29 ha observado 
también lo siguiente en sus Directrices sobre el consentimiento: 


El artículo 9, apartado 2, no reconoce la circunstancia de «necesario para la ejecución de un 
contrato» como una excepción a la prohibición general de tratar categorías especiales de datos 
Por lo tanto, los responsables y los Estados miembros que aborden esta situación deben 
estudiar las excepciones específicas que figuran en el artículo 9, apartado 2, letras b) a j). En el 
caso de que no se aplique ninguna de las excepciones enumeradas en las letras b) a j), la única 
excepción lícita para procesar dichos datos es obtener el consentimiento explícito de 
conformidad con las condiciones para el consentimiento válido que figuran en el RGPD* 


2.3 Ámbito de aplicación del artículo 6, apartado 1, letra b) 


El artículo 6, apartado 1, letra b), se aplica cuando se cumpla cualquiera de las dos condiciones 
siguientes: el tratamiento en cuestión debe ser objetivamente necesario para la ejecución del contrato 


13 Cuando los responsables del tratamiento se dispongan a identificar el fundamento jurídico adecuado en consonancia con 
el principio de lealtad, tendrán dificultades para conseguirlo si no han identificado previamente, de manera clara, la finalidad 
del tratamiento o si el tratamiento de los datos personales va más allá de lo necesario para alcanzar los fines especificados. 
14 Para obtener más información sobre las implicaciones relacionadas con el artículo 9, véase la página 22 de las Directrices 
sobre el consentimiento en el sentido del Reglamento (UE) 2016/679 (WP259) del Grupo de Trabajo del Artículo 29, 
adoptadas por el CEPD. 

15 Grupo de Trabajo del Artículo 29: Directrices sobre el consentimiento en el sentido del Reglamento (UE) 2016/679 (WP259), 
adoptadas por el CEPD, página 22. 
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con el interesado o el tratamiento debe ser objetivamente necesario para la aplicación, a petición de 
este, de medidas precontractuales. 


2.4 Necesidad 


La necesidad del tratamiento es un requisito previo en ambos supuestos del artículo 6, apartado 1, 
letra b). Es importante señalar desde el inicio que el concepto de «necesario para la ejecución de un 
contrato» no consiste en una mera valoración de lo que se permite en las cláusulas del contrato o de 
los términos en que estas se encuentran redactadas. El concepto de necesidad tiene un significado 
independiente en el Derecho de la Unión y debe reflejar los objetivos del derecho en materia de 
protección de datos.** Por tanto, requiere también que se tengan en cuenta el derecho fundamental 
a la privacidad y a la protección de los datos de carácter personal”, así como los requisitos de los 
principios de protección de datos, en especial, el principio de lealtad. 


Es necesario comenzar por identificar la finalidad del tratamiento, y, en el contexto de las relaciones 
contractuales, este tratamiento puede responder a diversos fines. Estos fines deben especificarse y 
comunicarse de manera clara al interesado, respetando así las obligaciones de limitación de la finalidad 
y transparencia que debe cumplir el responsable del tratamiento. 


Al evaluar qué es «necesario», debe realizarse una valoración combinada y basada en los hechos del 
tratamiento «para el objetivo que se persigue, evaluando si resulta menos intrusivo que otras opciones 
disponibles para conseguir el mismo objetivo».* Si existen otras alternativas realistas y menos 
intrusivas, el tratamiento no es «necesario».*” El artículo 6, apartado 1, letra b), no cubre los 
tratamientos que resulten útiles pero no sean objetivamente necesarios para ejecutar el servicio 
objeto del contrato o para aplicar las medidas precontractuales pertinentes a petición del interesado, 
incluso si resultan necesarios para los demás fines comerciales del responsable del tratamiento. 


2.5 Necesidad para la ejecución de un contrato en el que el interesado es parte 


El responsable del tratamiento podrá invocar la primera opción del artículo 6, apartado 1, letra b), para 
tratar datos personales cuando, en consonancia con su obligación de responsabilidad proactiva 
prevista en el artículo 5, apartado 2, pueda demostrar que el tratamiento tiene lugar en el contexto de 


16 En el asunto Huber, el TJUE señaló que «[la necesidad] se trata de un concepto autónomo del Derecho comunitario que 
debe recibir una interpretación idónea para responder plenamente al objeto de dicha Directiva [la Directiva 95/46], tal como 
se define en el artículo 1, apartado 1, de la misma». TJUE, asunto C-524/06, Heinz Huber contra Bundesrepublik Deutschland, 
18 de diciembre de 2008, párr. 52. 

17 Véanse los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea. 

18 Véase la página 5 del manual del SEPD: Determinación de la necesidad de medidas que limiten el derecho fundamental a 
la protección de los datos personales, página 5. 

19 En el asunto Schecke, el TJUE sostuvo que, al examinar la necesidad del tratamiento de datos personales, el legislador debía 
tener en cuenta medidas alternativas que resultaran menos intrusivas. TJUE, asuntos acumulados C-92/09 y C-93/09, Volker 
und Markus Schecke GbR y Hartmut Eifert contra Land Hessen, 9 de Noviembre de 2010. El TJUE reiteró esta doctrina en el 
asunto Rigas, en el que sostuvo lo siguiente: «Por lo que atañe al requisito de que el tratamiento de datos sea necesario, 
procede recordar que las excepciones y restricciones al principio de protección de los datos de carácter personal deben 
establecerse sin sobrepasar los límites de lo estrictamente necesario». TJUE, asunto C-13/16, Valsts policijas Rigas regiona 
pārvaldes Kārtības policijas pārvalde contra Rīgas pašvaldības SIA «Rīgas satiksme», párr. 30. Es necesario realizar una 
comprobación estricta de la necesidad del tratamiento de datos personales cada vez que se introduzca una restricción al 
ejercicio del derecho a la intimidad y a la protección de datos de carácter personal. Véase en este sentido la página 7 del 
manual del SEPD: Determinación de la necesidad de medidas que limiten el derecho fundamental a la protección de los datos 
personales, página 7. 


un contrato válido con el interesado y que el tratamiento es necesario para la ejecución de dicho 
contrato particular con el interesado. Cuando el responsable del tratamiento no pueda demostrar que 
a) el contrato existe, b) el contrato es válido en virtud del derecho nacional aplicable en materia de 
contratos y c) el tratamiento es necesario desde un punto de vista objetivo para la ejecución del 
contrato, deberá tener en cuenta otro fundamento jurídico para el tratamiento. 


27. La mera referencia o mención al tratamiento de datos en un contrato no es suficiente para considerar 
incluido dicho tratamiento en el ámbito de aplicación del artículo 6, apartado 1, letra b). Por el 
contrario, es posible que el tratamiento sea objetivamente aunque no se mencione expresamente en 
el contrato. En cualquier caso, el responsable del tratamiento debe cumplir con sus obligaciones de 
transparencia. Cuando un responsable del tratamiento se proponga demostrar que el tratamiento se 
basa en la ejecución de un contrato con el interesado, es importante valorar que es objetivamente 
necesario para ejecutar el contrato. La expresión «necesario para la ejecución» indica claramente que 
no basta una mera cláusula contractual. Esto también se desprende del artículo 7, apartado 4. Aunque 
esta disposición únicamente hace referencia a la validez del consentimiento, introduce una distinción 
ilustrativa entre las actividades de tratamiento necesarias para la ejecución de un contrato y las 
cláusulas que supeditan el servicio a determinadas actividades de tratamiento que no son en realidad 
necesarias para la ejecución del contrato. 


28. Al respecto, el CEPD ratifica la orientación adoptada anteriormente por el GT29 sobre la disposición 
equivalente en virtud de la Directiva anterior, en el sentido de «necesario para la ejecución de un 
contrato en el que el interesado es parte»: 


[...] debe interpretarse de manera estricta y no comprende situaciones en las que el tratamiento 
no sea realmente necesario para la ejecución de un contrato, sino unilateralmente impuesto al 
interesado por parte del responsable del tratamiento. Además, el hecho de que el tratamiento 
de algunos datos esté cubierto por un contrato no quiere decir automáticamente que el 
tratamiento sea necesario para su ejecución. [...] Incluso si estas actividades de tratamiento se 
mencionan de manera específica en la letra pequeña del contrato, este hecho por sí solo no las 
convierte en «necesarias» para la ejecución del contrato.? 


29. El CEPD recuerda, además, que, en esa misma orientación del GT29, también se establece lo siguiente: 


Existe una clara relación entre la valoración de la necesidad y el cumplimiento del principio de 
limitación de la finalidad Es importante determinar la justificación exacta del contrato, es decir, 
su esencia y objetivo fundamental, ya que la evaluación para comprobar si el tratamiento de 
datos es necesario para su ejecución se realizará en función de esta información.?* 


30. Al valorar si el artículo 6, apartado 1, letra b), constituye un fundamento jurídico adecuado para el 
tratamiento en el contexto de un servicio contractual en línea, debe prestarse atención al fin, el 
propósito o el objetivo particular del servicio. Para que pueda aplicarse el artículo 6, apartado 1, 
letra b), el tratamiento debe ser objetivamente necesario para un fin que forme parte de la prestación 
del servicio contractual al interesado. No se excluye de esta regla el tratamiento de los datos de pago 
para el cobro del servicio. El responsable del tratamiento debe estar en condiciones de demostrar que 
el objeto principal del contrato específico con el interesado no puede alcanzarse si no se lleva a cabo 
el tratamiento concreto de los datos personales en cuestión. Lo importante aquí es el nexo entre, por 


20 Grupo de Trabajo del Artículo 29: Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento de 
los datos en virtud del artículo 7 de la Directiva 95/46/CE (WP217), página 20. 
21 Ibid., página 20. 


10 


31. 


32. 


33. 


34. 


35. 


un lado, los datos personales y las operaciones de tratamiento en cuestión y, por otro, la ejecución o 
la falta de ejecución del servicio previsto en el contrato. 


Los contratos de servicios digitales pueden incorporar cláusulas que impongan expresamente 
condiciones adicionales sobre la publicidad, los pagos o las cookies, entre otras cuestiones. Sin 
embargo, los contratos no pueden ampliar artificialmente las categorías de datos personales o los tipos 
de operaciones de tratamiento que el responsable del tratamiento necesita llevar a cabo para la 
ejecución del contrato en los términos del artículo 6, apartado 1, letra b). 


El responsable del tratamiento debe estar en condiciones de justificar la necesidad del tratamiento 
concreto haciendo referencia al fin fundamental del contrato tal como lo entienden las dos partes del 
mismo. Esto no solo depende del enfoque del responsable del tratamiento, sino también del punto de 
vista razonable que tuviera el interesado a la hora de celebrar el contrato y de si este aún puede 
considerarse «ejecutado» sin el tratamiento en cuestión. Aunque el responsable del tratamiento 
pueda considerar que el tratamiento es necesario para el fin contractual, es importante que examinen 
detenidamente el punto de vista del interesado promedio para asegurarse de que exista una verdadera 
comprensión bilateral del objeto contractual. 


A la hora de evaluar si resulta aplicable el artículo 6, apartado 1, letra b), pueden servir de orientación 
las siguientes preguntas: 


e ¿Cuál es la naturaleza del servicio que se presta al interesado? ¿Cuáles son sus 
características distintivas? 


e ¿Cuál es la justificación exacta del contrato (es decir, su esencia y su objetivo 
fundamental)? 


e ¿Cuáles son los elementos esenciales del contrato? 


e ¿Cuáles son las perspectivas recíprocas y las expectativas de las partes del contrato? 
¿Cómo se promociona o publicita el servicio al interesado? Considerando la naturaleza del 
servicio, ¿cabría la posibilidad de que un usuario normal del servicio esperara 
razonablemente que se produjera el tratamiento previsto a fin de ejecutar el contrato en 
el que es parte? 


Si la evaluación de lo que es «necesario para la ejecución de un contrato», que habrá de realizarse 
antes de iniciar el tratamiento, muestra que el tratamiento previsto excede lo necesario para la 
ejecución del contrato desde un punto de vista objetivo, esto no bastaría por sí solo para convertir en 
ilícito el futuro tratamiento. Como ya se ha mencionado, el artículo 6 aclara que existen otros 
fundamentos jurídicos que es posible invocar antes de iniciar el tratamiento.?? 


Si, mientras dure el servicio, aparece nueva tecnología que modifique el modo de tratar los datos 
personales o el servicio evoluciona, deben volver a evaluarse los criterios anteriores para determinar 
si las operaciones de tratamiento nuevas o modificadas pueden basarse en el artículo 6, apartado 1, 
letra b). 


22 Véase la página 35 de las Directrices sobre el consentimiento en el sentido del Reglamento (UE) 2016/679 (WP259) del 
Grupo de Trabajo del Artículo 29, adoptadas por el CEPD, donde se establece lo siguiente: «De conformidad con el RGPD, no 
es posible pasar de un fundamento jurídico a otro». 
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36. 


37. 








Ejemplo 1 


Un interesado compra artículos en un comercio minorista en línea. El interesado desea pagar con 
tarjeta de crédito y recibir los productos en su domicilio. Para poder ejecutar el contrato, el minorista 
debe tratar los datos de la tarjeta de crédito y la dirección de facturación del interesado con el fin de 
realizar el pago y los datos del domicilio del interesado con el fin de realizar la entrega. Por tanto, para 
estas actividades de tratamiento resulta aplicable, como fundamento jurídico, el artículo 6, apartado 1, 
letra b). 


Sin embargo, si el cliente opta por el envío a un punto de recogida, ya no será necesario el tratamiento 
de los datos del domicilio del interesado para la ejecución del contrato de compraventa. En este último 
supuesto, cualquier tratamiento de los datos del domicilio del interesado requerirá un fundamento 
jurídico distinto del del artículo 6, apartado 1, letra b). 











Ejemplo 2 


Ese mismo comercio minorista en línea desea elaborar perfiles de los gustos y el estilo de vida de los 
usuarios en función de sus visitas al sitio web. La ejecución del contrato de compraventa no depende 
de la elaboración de estos perfiles. Incluso si la elaboración de los perfiles se menciona 
específicamente en el contrato, este hecho no la hace «necesaria» de por sí para la ejecución del 
contrato. Si el comercio minorista en línea desea realizar dichos perfiles, debe invocar un fundamento 
jurídico diferente para esta actividad. 





Dentro de los límites del derecho contractual, y, cuando resulte aplicable, del derecho en materia de 
protección de los consumidores, los responsables del tratamiento gozan de libertad para definir su 
actividad comercial, sus servicios y sus contratos. En algunos casos, es posible que un responsable del 
tratamiento desee agrupar en un único contrato distintos servicios o elementos de un servicio con 
diferentes objetivos fundamentales, características o justificaciones. Esto puede crear una situación 
de «todo o nada» para los interesados que únicamente deseen contratar uno de los servicios. 


En tanto asunto del derecho de protección de datos, los responsables del tratamiento deben tener en 
cuenta que las actividades de tratamiento previstas deben tener un fundamento jurídico adecuada. 
Cuando el contrato incluya varios servicios o elementos de un servicio independientes que 
razonablemente pueden ejecutarse de manera independiente entre sí, surge la duda de hasta qué 
punto el artículo 6, apartado 1, letra b), puede servir de fundamento jurídico para estos. La 
aplicabilidad del artículo 6, apartado 1, letra b), debe evaluarse en el contexto de cada uno de dichos 
servicios por separado, examinando qué es necesario desde un punto de vista objetivo para ejecutar 
cada uno de los servicios que el interesado haya solicitado o a los que se haya suscrito. Esta evaluación 
puede revelar que determinadas actividades de tratamiento no son necesarias para los distintos 
servicios individuales solicitados por el interesado, sino que lo son, más bien, para el modelo de 
negocio completo del responsable del tratamiento. En tal caso, el artículo 6, apartado 1, letra b), no 
serviría de fundamento jurídico para dichas actividades. Sin embargo, pueden existir otros 
fundamentos jurídicos para dicho tratamiento, como el artículo 6, apartado 1, letras a) o f), siempre 
que se cumplan los correspondientes criterios. Por tanto, la evaluación de la aplicabilidad del 
artículo 6, apartado 1, letra b), no afecta a la legalidad del contrato ni a la agrupación de lo servicios 
como tal. 
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38. 


39. 


40. 


41. 


42. 


43. 


Como ha observado anteriormente el GT29, el fundamento jurídico solo se aplica a lo que es necesario 
para la ejecución de un contrato.” No se aplica automáticamente al resto de acciones desencadenadas 
por el incumplimiento ni a todos los demás incidentes que se produzcan en la ejecución de un contrato. 
Sin embargo, algunas acciones resultan razonablemente previsibles y son necesarias dentro de una 
relación contractual normal, como el envío de recordatorios formales de pagos pendientes, la 
corrección de errores o los retrasos en la ejecución del contrato. El artículo 6, apartado 1, letra b), 
puede cubrir el tratamiento de datos personales que resulte necesario para llevar a cabo dichas 
acciones. 








Ejemplo 3 


Una empresa vende productos en línea. Un cliente se pone en contacto con la empresa porque el color 
del producto adquirido difiere del que se acordó. El tratamiento de los datos personales de este cliente 
a efectos de rectificar esta cuestión puede basarse en el artículo 6, apartado 1, letra b). 





La garantía contractual puede formar parte de la ejecución de un contrato y, por tanto, la conservación 
de determinados datos durante un periodo de retención especificado tras el intercambio de los 
productos, los servicios o el pago a los efectos de la garantía puede resultar necesaria para la ejecución 
del contrato. 


2.6 Terminación del contrato 


El responsable del tratamiento debe identificar el fundamento jurídico adecuado para las operaciones 
de tratamiento previstas antes de que comience el tratamiento. Cuando el artículo 6, apartado 1, 
letra b), sea la base de alguna o todas las actividades de tratamiento, el responsable del tratamiento 
deberá anticipar qué sucede si se rescinde el contrato.”* 


Cuando el tratamiento de datos personales se base en el artículo 6, apartado 1, letra b), y se rescinda 
el contrato en su totalidad, como norma general, el tratamiento de dichos datos ya no será necesario 
para la ejecución del contrato y, por tanto, el responsable del tratamiento deberá dejar de tratarlos. 
Es posible que el interesado hubiera proporcionado sus datos personales en el contexto de una 
relación contractual, confiando en que el tratamiento de los mismos solo se llevara a cabo como un 
elemento necesario de dicha relación. En consecuencia, resulta en general desleal cambiar de 
fundamento jurídico cuando deja de existir el fundamento original. 


Cuando se pone fin a un contrato, esto suele conllevar ciertos trámites administrativos, como la 
devolución de bienes o la realización de pagos. Los tratamientos asociados a estas operaciones pueden 
basarse en el artículo 6, apartado 1, letra b). 


El artículo 17, apartado 1, letra a), prevé que los datos personales se eliminen cuando dejen de ser 
necesarios para los fines para los que se hubieran recogido. Sin embargo, esto no resulta aplicable si 
el tratamiento es necesario para determinados fines concretos, como el cumplimiento de una 





23 Grupo de Trabajo del Artículo 29: Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento 
de los datos en virtud del artículo 7 de la Directiva 95/46/CE (WP217), páginas 21-22. 

24 Si, en algún momento, se invalida un contrato, esta circunstancia afectará a la licitud (entendida en el sentido del artículo 5, 
apartado 1, letra a]) del tratamiento posterior. Sin embargo, esto no significa automáticamente que la elección del artículo 6, 
apartado 1, letra b), como fundamento jurídico hubiera sido incorrecta. 


13 


44. 


45. 


46. 


obligación legal en virtud del artículo 17, apartado 3, letra b), o la formulación, el ejercicio o la defensa 
de reclamaciones legales con arreglo al artículo 17, apartado 3, letra e). En la práctica, si los 
responsables del tratamiento aprecian una necesidad general de llevar un registro por razones legales, 
deben identificar un fundamento jurídico para ello al inicio del tratamiento y comunicar claramente 
desde el principio cuánto tiempo prevén conservar el registro por razones legales tras la rescisión del 
contrato. Si proceden de este modo, no tienen por qué eliminar los datos una vez rescindido el 
contrato. 


En cualquier caso, puede suceder que se identifiquen desde el comienzo del tratamiento varias 
operaciones de tratamiento con distintas finalidades y fundamentos jurídicos. Siempre que estas otras 
operaciones de tratamiento sean lícitas y el responsable las haya comunicado claramente desde el 
comienzo del tratamiento en consonancia con las obligaciones de transparencia recogidas en el RGPD, 
será posible tratar datos personales sobre el interesado para dichos fines independientes una vez 
rescindido el contrato. 








Ejemplo 4 


Un servicio en línea ofrece una posibilidad de suscripción, que puede cancelarse en cualquier 
momento. Cuando se celebra el contrato de prestación del servicio, el responsable del tratamiento 
ofrece al interesado información sobre el tratamiento de los datos personales. 


El responsable del tratamiento explica, entre otras cuestiones, que, mientras el contrato esté en vigor, 
tratará datos sobre el uso del servicio a fin de expedir las facturas correspondientes. El fundamento 
jurídico aplicable es el artículo 6, apartado 1, letra b), puesto que el tratamiento a efectos de expedir 
las facturas puede considerarse objetivamente necesario para la ejecución del contrato. Sin embargo, 
cuando se rescinda al contrato, se borrará el historial de uso, suponiendo que no exista ninguna 
reclamación pertinente pendiente ni ninguna obligación legal de conservar los datos. 


Además, el responsable del tratamiento informará a los interesados de que el derecho nacional le 
obliga a conservar determinados datos personales a efectos de contabilidad durante un número de 
años determinado. El fundamento jurídico adecuado es el artículo 6, apartado 1, letra c), y la 
conservación de los datos tendrá lugar aunque se haya rescindido el contrato. 





2.7 Necesidad de tomar medidas antes de firmar un contrato 


El segundo supuesto del artículo 6, apartado 1, letra b), se aplica cuando el tratamiento es necesario 
para la aplicación, a petición del interesado, de medidas precontractuales. Esta disposición refleja el 
hecho de que puede ser necesario el tratamiento preliminar de los datos personales antes de celebrar 
el contrato a fin de facilitar la propia celebración del contrato. 


En el momento del tratamiento, quizá no esté claro si finalmente se celebrará el contrato. No obstante, 
puede resultar aplicable el segundo supuesto del artículo 6, apartado 1, letra b), cuando el interesado 
así lo pida en el contexto de una posible celebración del contrato y el tratamiento en cuestión sea 
necesario para adoptar las medidas solicitadas. En consonancia con esto, cuando un interesado se 
ponga en contacto con el responsable del tratamiento para recibir información sobre su oferta de 
servicios, el tratamiento de los datos personales del interesado a los efectos de responder a la petición 
podrá basarse en el artículo 6, apartado 1, letra b). 
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47. 


48. 


49. 


En cualquier caso, esta disposición no cubre las comunicaciones comerciales no solicitadas ni otros 
tratamientos llevados a cabo a instancia exclusiva del responsable del tratamiento o a petición de un 
tercero. 








Ejemplo 5 


Un interesado proporciona su código postal para ver si determinado prestador de servicios opera en 
la zona. Este tratamiento puede considerarse necesario para la aplicación, a petición del interesado, 
de medidas precontractuales de conformidad con el artículo 6, apartado 1, letra b). 











Ejemplo 6 


En algunos casos, las entidades financieras tienen el deber de identificar a sus clientes con arreglo al 
derecho nacional. Para ello, antes de celebrar un contrato con los interesados, el banco solicita que se 
le enseñen los correspondientes documentos de identidad. 


En este caso, la identificación es necesaria para que el banco pueda cumplir una obligación legal y no 
para aplicar medidas a petición del interesado. Por tanto, el fundamento jurídico adecuado no es el 
artículo 6, apartado 1, letra b), sino el artículo 6, apartado 1, letra c). 





3 PARTE 3: APLICABILIDAD DEL ARTÍCULO 6, APARTADO 1, LETRA B), 
EN SITUACIONES ESPECÍFICAS 


3.1 Tratamiento para la «mejora del servicio»? 


Los servicios en línea suelen recoger información detallada sobre el modo en que los usuarios utilizan 
el servicio. En la mayoría de los casos, la recogida de datos sobre parámetros organizativos en relación 
con el servicio o de datos sobre la participación del usuario no puede considerarse necesaria para la 
prestación del servicio, ya que este puede prestarse sin necesidad de tratar dichos datos personales. 
No obstante, el prestador de servicios puede fundamentar este tipo de tratamiento en otros 
fundamentos jurídicos, como el interés legítimo o el consentimiento. 


El CEPD no considera en general que el artículo 6, apartado 1, letra b), constituya una base legal 
adecuada para el tratamiento a efectos de mejorar un servicio o de crear nuevas funcionalidades 
dentro de un servicio existente. En la mayoría de los casos, el usuario suscribe un contrato para hacer 
uso de un servicio ya existente. Aunque habitualmente pueda incluirse en las cláusulas contractuales 
la posibilidad de introducir mejoras y modificaciones en un servicio, el correspondiente tratamiento 
no puede considerarse, en general, necesario desde el punto de vista objetivo para la ejecución del 
contrato con el usuario. 


25 Los servicios en línea también deben tener en cuenta la Directiva (UE) 2019/770 del Parlamento Europeo y del Consejo, de 
20 de mayo de 2019, relativa a determinados aspectos de los contratos de suministro de contenidos y servicios digitales 
(DO L 136 de 22.05.2019, p. 1), que entrará en vigor el 1 de enero de 2022. 
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50. 


51. 


52. 


53. 


54. 


3.2 Tratamiento para la «prevención del fraude» 


Como ya ha señalado previamente el GT29*, el tratamiento con fines de prevención del fraude puede 
comprender la supervisión y la elaboración de perfiles de clientes. El CEDP considera que dicho 
tratamiento probablemente exceda de lo necesario desde el punto de vista objetivo para la ejecución 
de un contrato en el que el interesado sea parte. Sin embargo, el tratamiento de datos de carácter 
personal estrictamente necesario para la prevención del fraude puede constituir un interés legítimo 
del responsable del tratamiento de que se trate?” y, por tanto, considerarse lícito, si dicho responsable 
cumple los requisitos específicos del artículo 6, apartado 1, letra f) (intereses legítimos). Además, el 
artículo 6, apartado 1, letra c), obligación jurídica) también puede servir de fundamento jurídico para 
dicho tratamiento de datos. 


3.3 Tratamiento para la publicidad de comportamiento en línea 


Para financiar los servicios en línea, a menudo se utilizan la publicidad de comportamiento en línea y 
las actividades asociadas de seguimiento y elaboración de perfiles de los interesados. El GT29 ya se ha 
pronunciado sobre este tipo de tratamiento, en los siguientes términos: 


[La necesidad contractual] no es un fundamento jurídico apropiado para elaborar un perfil de 
los gustos y las opciones de estilo de vida del usuario, basado en su recorrido por un sitio web 
y en los artículos adquiridos. Ello se debe a que el responsable del tratamiento de los datos no 
ha sido contratado para elaborar perfiles, sino para entregar bienes y ofrecer servicios 
concretos, por ejemplo.?* 


Como regla general, el tratamiento de datos personales con fines de publicidad del comportamiento 
no puede considerarse necesario para la ejecución de un contrato de servicios en línea. Normalmente, 
es difícil demostrar que el contrato no pueda ejecutarse debido a la ausencia de anuncios publicitarios 
de comportamiento. Respalda esta postura el hecho de que el artículo 21 concede a los interesados 
un derecho absoluto de oposición al tratamiento de sus datos con fines de mercadotecnia directa. 


Además, el artículo 6, apartado 1, letra b), no puede servir de fundamento jurídico para la publicidad 
del comportamiento en línea por el mero hecho de que este tipo de publicidad financie de manera 
indirecta la prestación del servicio. Aunque este tipo de tratamiento puede respaldar la prestación del 
servicio, ello no basta de por sí para determinar que resulta necesario para ejecutar el contrato en 
cuestión. El responsable del tratamiento debe examinar los factores descritos en el apartado 33. 


Habida cuenta de que la protección de los datos es un derecho fundamental consagrado en el artículo 8 
de la Carta de los derechos fundamentales y de que uno de los principales objetivos del RGPD es 
ofrecer a los interesados el control sobre la información que les afecta, los datos personales no pueden 
considerarse una mercancía. Aunque el interesado pueda prestar su consentimiento al tratamiento de 





26 Grupo de Trabajo del Artículo 29: Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento 
de los datos en virtud del artículo 7 de la Directiva 95/46/CE (WP217), página 21. 

27 Véase la sexta oración del considerando 47. 

28 Grupo de Trabajo del Artículo 29: Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento 
de los datos en virtud del artículo 7 de la Directiva 95/46/CE (WP217), página 20. 
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55. 


56. 


57. 


sus datos personales”, no puede comerciar con sus derechos fundamentales en virtud de dicho 
acuerdo”. 


El CEPD también desea señalar que, en consonancia con los requisitos de las comunicaciones 
electrónicas, el dictamen del GT29 sobre publicidad del comportamiento en línea*? y el documento de 
trabajo 02/2013 del GT29 sobre la obtención del consentimiento para cookies*?, los responsables del 
tratamiento deben recabar el consentimiento previo de los interesados para utilizar las cookies 
necesarias para las actividades de publicidad comportamental. 


Por otra parte, el CEPD desea indicar que el seguimiento y la elaboración de perfiles de los usuarios se 
pueden llevar a cabo con el objetivo de identificar grupos de personas con características similares a 
fin de dirigir la publicidad a audiencias similares. Estos tipos de tratamiento no pueden basarse en el 
artículo 6, apartado 1, letra b), ya que no puede considerarse que el seguimiento y la comparación de 
las características y las conductas de los usuarios para fines relacionados con la publicidad dirigida a 
otras personas sean necesarios desde el punto de vista objetivo para la ejecución del contrato del que 
es parte el usuario.** 


3.4 Tratamiento para la personalización de contenidos** 


El CEPD confirma que la personalización de contenidos puede (aunque no siempre) constituir un 
elemento intrínseco y previsible de determinados servicios en línea y, por tanto, puede en 
determinados casos considerarse necesaria para la ejecución del contrato con el usuario del servicio. 
Que dicho tratamiento pueda considerarse un aspecto intrínseco de un servicio en línea dependerá de 
la naturaleza del servicio prestado, de las expectativas del interesado promedio, no solo a la luz de las 
condiciones del servicio, sino también en vista del modo en que se promociona el servicio entre los 
usuarios, y de la posibilidad de prestar el servicio sin personalizarlo. Cuando la personalización del 
contenido no sea necesaria desde el punto de vista objetivo para los fines del contrato subyacente 
(por ejemplo, cuando el contenido personalizado ofrecido tenga por objeto incrementar el uso del 
servicio por el usuario pero no forme parte esencial del uso del servicio), los responsables del 
tratamiento de los datos deberán examinar la posibilidad de usar un fundamento jurídico alternativo, 
cuando proceda. 


29 Véase la Directiva (UE) 2019/770 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativa a determinados 
aspectos de los contratos de suministro de contenidos y servicios digitales. 

30 Además de que el uso de los datos personales se encuentra regulado por el RGPD, existen motivos adicionales por los que 
el tratamiento de los datos personales difiere de los pagos monetarios desde el punto de vista conceptual. Por ejemplo, el 
dinero se puede contabilizar, es decir, los precios pueden compararse en un mercado donde rija la libre competencia, y, en 
general, los pagos monetarios solo pueden realizarse con la participación del interesado. Además, los datos personales 
pueden ser explotados por varios servicios a la vez. Una vez que una persona pierde el control sobre sus datos personales, es 
posible que no pueda recuperar dicho control. 

31 Grupo de Trabajo del Artículo 29: Dictamen 2/2010 sobre publicidad comportamental en línea (WP171). 

32 Grupo de Trabajo del Artículo 29: Documento de trabajo 02/2013 sobre la obtención del consentimiento para cookies 
(WP208). 

33 Véase también la página 14 de las Directrices sobre decisiones individuales automatizadas y elaboración de perfiles a 
efectos del Reglamento 2016/679 del Grupo de Trabajo del Artículo 29 (WP251rev.01), adoptadas por el CEPD. 

34 Los servicios en línea también deben tener en cuenta la Directiva (UE) 2019/770 del Parlamento Europeo y del Consejo, de 
20 de mayo de 2019, relativa a determinados aspectos de los contratos de suministro de contenidos y servicios digitales 
(DO L 136 de 22.05.2019, p. 1), que entrará en vigor el 1 de enero de 2022. 
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Ejemplo 7 


Un motor de búsqueda de hoteles en línea realiza un seguimiento de las reservas anteriores de los 
usuarios con el fin de crear un perfil de su gasto habitual. Este perfil se utiliza posteriormente para 
recomendar determinados hoteles al usuario en los resultados de la búsqueda. En este caso, la 
elaboración del perfil con los datos financieros y del comportamiento previo del usuario no es 
necesaria desde el punto de vista objetivo para la ejecución del contrato; esto es, la prestación de 
servicios hoteleros conforme a unos criterios de búsqueda concretos establecidos por el usuario. Por 
tanto, no resultaría aplicable a esta actividad de tratamiento el artículo 6, apartado 1, letra b). 











Ejemplo 8 


Un mercado en línea permite a los posibles compradores buscar y adquirir productos. Este mercado 
desea mostrar sugerencias personalizadas de productos basadas en las listas de productos visualizadas 
previamente en la plataforma por los posibles compradores a fin de fomentar la interacción. Este tipo 
de personalización no es necesario desde el punto de vista objetivo para ofrecer el servicio en el 
mercado. Por tanto, no puede fundamentarse en el artículo 6, apartado 1, letra b). 








18 


